PT-2026-39197 · Drawio · Drawio

Fl3X1Nz · Publicado 2026-05-08 · Atualizado 2026-05-09 · CVE-2026-42195

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.4

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas draw.io versões anteriores a 29.7.9

Descrição O aplicativo aceita um parâmetro de URL gitlab que substitui a URL do servidor GitLab usada durante a autenticação OAuth. Um invasor pode usar um link manipulado para fazer com que a caixa de diálogo "Authorize in GitLab" abra um popup em um host sob seu controle em vez do gitlab.com legítimo. Esse comportamento pode levar ao phishing de credenciais e à exfiltração de tokens de estado de sessão.

Recomendações Atualize para a versão 29.7.9.

Correção

Open Redirect

Information Disclosure

Enumeração de Fraquezas

CWE-601

CWE-200

Identificadores relacionados

CVE-2026-42195

Produtos afetados

Drawio

Referências · 5

• https://github.com/jgraph/drawio/security/advisories/GHSA-8x7j-m8px-7p8x · Nota
• https://github.com/jgraph/drawio/releases/tag/v29.7.9 · Nota
• https://github.com/jgraph/drawio/issues/493 · Nota
• https://twitter.com/CVEnew/status/2053131438581809418 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42195 · Nota de Segurança